Política de Privacidade

1. Introdução

A Psicotools OS ("nós", "nos" ou "empresa") opera a plataforma de gestão clínica para psicólogos. Esta página informa sobre nossas práticas de coleta, uso e divulgação de dados pessoais quando você utiliza nosso serviço, seja como psicólogo, secretária ou paciente.

2. Dados Coletados

Coletamos os seguintes dados, organizados por categoria:

• Dados de Conta (psicólogo/secretária): nome, e-mail, telefone, CRP, credenciais de login, logo, cor de marca.
• Dados de Pacientes: nome, CPF, data de nascimento, telefone, e-mail, endereço, diagnóstico, histórico clínico, anamnese, evolução de sessões.
• Dados Sensíveis de Saúde: conteúdo das sessões, áudio das consultas, transcrições, notas SOAP, prescrições de exercícios, respostas a instrumentos clínicos.
• Dados de Pagamento: valores de sessão, histórico de pagamentos. Não armazenamos cartão de crédito — pagamentos passam por processadores certificados.
• Dados de Uso: logs de acesso, IP, user-agent, funcionalidades utilizadas.

3. Base Legal (LGPD)

Tratamos dados pessoais com as seguintes bases legais previstas no Art. 7º e 11 da LGPD:

• Execução de contrato (Art. 7º, V) — para prestar o serviço ao psicólogo contratante.
• Tutela da saúde (Art. 11, II, "f") — para dados sensíveis dos pacientes, em procedimento realizado por profissional de saúde.
• Consentimento (Art. 7º, I; Art. 11, I) — para integração com Google Calendar e funcionalidades opcionais.
• Legítimo interesse (Art. 7º, IX) — para logs de segurança e prevenção de fraude.

4. Subprocessadores

Operamos com os seguintes fornecedores que processam dados em nosso nome:

• Supabase Inc. — hospedagem do banco de dados, autenticação e storage. Servidores em São Paulo (sa-east-1), Brasil.
• Vercel Inc. — hospedagem da aplicação web. Edge global, com região primária nos Estados Unidos.
• OpenAI — geração de SOAP e "Fio da Meada" via modelo gpt-4o-mini. Servidores nos Estados Unidos. Acordo de Data Processing Addendum (DPA) padrão.
• Deepgram Inc. — transcrição de áudio com diarização. Servidores nos Estados Unidos.
• Google LLC — apenas quando você ativa a integração com Google Calendar (item 7).
• Processador de pagamentos — [PENDENTE: nome do processador, ex. Stripe, Pagar.me, Iugu].

Áudios brutos das sessões são enviados para Deepgram apenas durante a transcrição e descartados em seguida; não ficam armazenados permanentemente nos servidores do Deepgram. Transcrições e conteúdo enviado à OpenAI seguem a política de Zero Data Retention da OpenAI quando aplicável ao plano contratado.

5. Uso de Inteligência Artificial

A plataforma utiliza modelos de IA (OpenAI gpt-4o-mini) para gerar:

• Resumos estruturados de sessão no formato SOAP (Subjetivo, Objetivo, Avaliação, Plano).
• "Fio da Meada" — sumarização longitudinal de evolução clínica.

Importante: conteúdo gerado por IA é sugestivo e não substitui o julgamento clínico do psicólogo. Cabe ao profissional revisar, editar e validar qualquer texto produzido pela IA antes de incorporá-lo ao prontuário oficial. A Psicotools OS não se responsabiliza por decisões clínicas tomadas exclusivamente com base em outputs de IA.

Não utilizamos dados de pacientes para treinar modelos próprios. Os modelos da OpenAI utilizados não treinam com dados enviados via API (conforme política da OpenAI).

6. Transferência Internacional

Alguns subprocessadores (OpenAI, Deepgram, Vercel) processam dados nos Estados Unidos. Essas transferências ocorrem com base no Art. 33, II, da LGPD (cláusulas contratuais padrão e garantias contratuais de proteção). Dados clínicos brutos (áudio, transcrição completa, prontuário) ficam armazenados primariamente em São Paulo, Brasil (Supabase sa-east-1).

7. Integração com o Google

A Psicotools OS oferece integração opcional com serviços do Google. Quando você autoriza essa integração:

• Google Calendar: acessamos sua agenda para criar, editar e cancelar eventos de consultas. Lemos apenas os eventos criados pela própria plataforma.
• Conta Google: utilizamos seu e-mail e nome públicos do Google apenas para identificação e autenticação.

Os dados obtidos via integração com o Google são usados exclusivamente para o funcionamento das funcionalidades da plataforma. Não compartilhamos, vendemos nem utilizamos esses dados para publicidade ou qualquer finalidade além da descrita nesta política.

O uso da Psicotools OS em relação às informações recebidas das APIs do Google seguirá a Política de Dados de Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

8. Proteção de Dados

Aplicamos medidas técnicas e organizacionais apropriadas, incluindo:

• Criptografia em trânsito (TLS 1.3) e em repouso (AES-256).
• Row Level Security (RLS) no banco — cada psicólogo só acessa os próprios dados.
• Magic-link com expiração (30 dias) para acesso de pacientes.
• Autenticação multi-fator opcional via Supabase Auth.
• Detecção de senhas vazadas (HaveIBeenPwned).
• Logs de auditoria e rate limiting nas APIs.

9. Retenção de Dados

Mantemos dados pelos seguintes prazos:

• Dados de conta ativa: enquanto a assinatura estiver ativa.
• Dados clínicos de pacientes: até 20 anos após a última sessão (conforme Resolução CFP 001/2009).
• Áudios de sessão: armazenados em storage privado, com retenção configurável pelo psicólogo. Default: 90 dias.
• Logs de acesso: 180 dias.
• Backups: retenção alinhada à categoria de dado original.

Após o término do contrato, oferecemos exportação completa dos dados em até 30 dias e exclusão definitiva conforme solicitado pelo titular (respeitadas obrigações legais de guarda).

10. Compartilhamento de Dados

Não comercializamos dados pessoais. Compartilhamos apenas com:

• Subprocessadores listados na Seção 4, sob acordos de proteção.
• Autoridades públicas, quando obrigados por lei.
• Terceiros, mediante consentimento explícito.

11. Direitos dos Titulares

Conforme Art. 18 da LGPD, você tem direito a:

• Confirmação da existência de tratamento.
• Acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários.
• Portabilidade (exportação em formato estruturado).
• Eliminação de dados tratados com consentimento.
• Informação sobre compartilhamento.
• Revogação de consentimento.
• Oposição a tratamento.

Pacientes podem solicitar acesso ou exclusão diretamente ao psicólogo responsável (controlador dos dados clínicos) ou ao nosso encarregado.

12. Encarregado de Dados (DPO)

Em conformidade com o Art. 41 da LGPD, designamos o seguinte encarregado:

• Nome: [PENDENTE: nome completo do DPO]
• E-mail: dpo@psicotools.com.br

Para exercer qualquer direito ou esclarecer dúvidas sobre privacidade, contate o encarregado ou escreva para contato@psicotools.com.br. Respondemos em até 15 dias.

13. Revogação de Acesso ao Google

Você pode revogar o acesso da Psicotools OS à sua conta Google a qualquer momento em Permissões da Conta Google e removendo o acesso da Psicotools OS.

14. Cookies

Usamos cookies funcionais para autenticação e preferências. Não usamos cookies de rastreamento ou publicidade. O cookie de sessão do hub do paciente (psico_hub_session) expira em 30 dias.

15. Incidentes de Segurança

Em caso de violação de dados que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados em até 72 horas, conforme Art. 48 da LGPD.

16. Alterações

Esta política pode ser atualizada. Mudanças materiais serão comunicadas por e-mail aos contratantes ativos com 30 dias de antecedência.

17. Contato

E-mail geral: contato@psicotools.com.br
Encarregado de dados: dpo@psicotools.com.br